Verbesserungskonzepte

DIE ISO/SAE 21434 WIRD ZUM LEITFADEN FÜR AUTOMOTIVE SECURITY

Ein Gespräch mit dem Security-Experten Dr. Thomas Liedtke

Hinter dem künftigen Security-Standard ISO/SAE 21434 steckt die geballte Kompetenz der Internationalen Organisation für Normung (ISO) und des Verbands der Automobilingenieure (SAE International). Automotive Security-Experte Dr. Thomas Liedtke erläutert, welche Ziele mit der ISO/SAE 21434 verfolgt werden und was der neue Standard leisten wird.

Herr Dr. Liedtke, Sie waren fast ein halbes Berufsleben lang in der Telekommunikationsbranche tätig. Welche Prozesse konnten Sie von dort in den Automobilbereich übertragen?

In der Tat gibt es viele Parallelen, gerade auf der Meta- und Prozessebene. Mitte der 90er habe ich zusammen mit Bonifaz Maag bei Alcatel das Prozess-Reifegradmodell CMM eingeführt und ausgerollt, für die Software-Entwicklung im ISDN- und Mobilfunk-Umfeld. Im Automobilsektor nennt sich der aktuelle Standard Automotive SPICE, aber die Ähnlichkeit zum (inzwischen weiterentwickelten) CMMi ist bemerkenswert. Obwohl die Software um ein Vielfaches komplexer geworden ist – der Standard für den Entwicklungsprozess ist im Grunde immer noch der Gleiche.

Weshalb entsteht mit der ISO/SAE 21434 gerade ein neuer Standard für die Automobilbranche?

Das Auto wandelt sich, von einem mechanischen Gerät zu einem Computer auf Rädern. Dieser Computer muss genau so wie andere Systeme vor Angriffen von außen geschützt werden. Die Ziele der sogenannten “Security” unterscheiden sich erheblich von denen der klassischen “Safety”, bei der es darum geht, dass diejenigen Elemente des Autos funktionieren, die in kritischen Situationen Leib und Leben der Insassen schützen. Für Funktionale Sicherheit gibt es bereits seit 2011 eine Automotive-spezifische Norm – die ISO 26262. Für die Security haben wir in Europa keine verbindlichen Vorgaben, lediglich in den USA existiert die Security Norm SAE J3061TM. Da herrscht keine globale Einheitlichkeit, und das muss sich ändern.

Automotive Security durch ISO/SAE 21434
Abb.: Security-Experte Dr. Thomas Liedtke

Welcher zentralen Herausforderung steht ein Unternehmen in der Automobilindustrie gegenüber, wenn es potenzielle Cyberattaken auf seine Systeme abwehren will?

Denkbare Angriffe sind etwa die Immobilisierung des Autos, das Starten ohne Schlüssel oder das künstliche Senken des Kilometerzählers zur Wertsteigerung. Wie so ein Angriff aussehen kann, hat das Magazin WIRED am Beispiel von Jeep gezeigt. Die Security soll diese Angriffe verhindern. Dabei handelt es sich um ein sogenanntes „moving target“, denn erstens wird die Software im Auto ständig weiterentwickelt, zweitens finden Hacker heute Sicherheitslücken, die gestern keiner auf dem Schirm hatte. Die Angriffsflächen nach außen steigen mit den Schnittstellen im Auto beständig an (Bluetooth, MP3-Player, Internet, USB, Smartphone, Videokamera, Sensoren, usw.). Wird eine neue Schwachstelle bekannt, muss in der Regel innerhalb von Stunden oder Tagen ein Patch erscheinen, der auch einen sicheren und schnellen Weg zu den über die Welt verteilten Fahrzeugen finden muss.

Was ist die Rolle von Kugler Maag Cie bei der Entstehung der Norm?

Kugler Maag Cie ist einer der europäischen Vertreter im Projekt ISO/SAE 21434. Wir geben unsere Expertise aus knapp 15 Jahren Prozessbegleitung in der Automobilbranche in die Entwicklung der Norm. Das kommt natürlich auf der anderen Seite wiederum unseren Kunden zu Gute, die wir jetzt schon auf das Arbeiten unter der neuen Norm vorbereiten.

Welche Aufgaben sollen mit dem neuen Security-Standard unterstützt werden?

Der Standard wird keine spezifischen Technologien oder Lösungen vorgeben. Das wäre sinnlos, da die viel zu schnell wieder veraltet sind. Vielmehr geht es darum, Anforderungen an ein Cybersecurity-Risikomanagement zu formulieren, entlang der gesamten Produktlebensdauer: Von den Komponenten über Entwicklung, Design, Produktion, Betrieb und Wartung bis zur Außerbetriebnahme. Denn selbst wenn ein Auto irgendwann verschrottet wird, müssen noch die persönlichen Daten der Nutzer geschützt werden. Die Norm schafft einheitliche Definitionen dafür, was eine Schwachstelle oder Verwundbarkeit ist, und legt fest, in welchem Rahmen die Sicherheit getestet werden muss.

Reicht es künftig, die Entwicklungsprozesse nach den Vorgaben der ISO/SAE 21434 auszurichten?

Die Unternehmen müssen die Norm füllen – sie kann gar nicht einfach so umgesetzt werden. Denn die Norm ist ein Rahmen, anhand dessen die Unternehmen ihr Security Management gestalten. Reife Prozesse bilden die Grundlage dafür, dazu kommen etwa Awareness-Schulungen für die Mitarbeiter, passende organisatorische Regelungen und technische Expertise. Die Norm gibt den Herstellern auch vor, dass sie immer auf dem aktuellen Stand der Technik arbeiten müssen. Das erfordert, dass sie Markt und Technik ständig im Blick behalten.

Zur Person

Dr. Thomas Liedtke ist von Haus aus Informatiker. Nach seiner Promotion an der Universität Stuttgart (Informatik mit Nebenfach Mathematik) wechselte der mehrfache Familienvater in die Telekommunikationsbranche. Bei Alcatel-Lucent übernahm Dr. Liedtke rasch Verantwortung: In über 14 Jahren führte er zahlreiche Projekte zum Erfolg und leitete verschiedene Abteilungen. Vor über 10 Jahren wechselte Dr. Liedtke in die Beratung und bringt seitdem seine Erfahrung bei Kunden aus unterschiedlichen Branchen ein, vor allem zu den Themen Safety, Security, Privacy und Projektmanagement. Über seine Aufgabe als Principal bei Kugler Maag Cie hinaus, engagiert sich Dr. Liedtke in verschiedenen Gremien, insbesondere beim Arbeitskreis Automotive Cybersecurity des Zentralverbands der Elektroindustrie (ZVEI) und im VDA-Arbeitskreis Cybersecurity des Verbands der Automobilindustrie (DIN NA052-00-32-11AK und ISO TC22/SC32/WG11).

Wie verbindlich ist die neue Security-Norm für Automobilhersteller und Zulieferer?

Eine ISO-Norm ist kein Gesetz. Die Unternehmen sind nicht dazu verpflichtet, sich daran zu halten. Sie werden es trotzdem tun, denn im Falle eines Schadens entscheidet das über die Haftung. Ist der Fahrzeughersteller der Norm nicht gefolgt, dann kommt es zur Beweislast-Umkehr: dann muss er beweisen, dass er trotzdem alles Erforderliche getan hat, um den Schaden zu vermeiden.

Sie sagten, dass sich die ISO-Organisation und die SAE International zusammengeschlossen haben, um die neue ISO/SAE 21434 gemeinsam herauszubringen. Was hat es mit diesem Vorgehen auf sich?

Die SAE ist eine US-amerikanische Vereinigung, sie hat für die USA bereits eine Security-Norm herausgegeben. Der Rest der Welt will die nicht einfach so übernehmen. Auf der andere Seite will die SAE auch nicht ihren Standard für eine neue globale Norm aufgeben. Nach längerer Diskussion haben sich die Vertreter deswegen auf die Zusammenarbeit an einer gemeinsamen Norm geeinigt.

Wie sieht der Fahrplan für die Einführung der ISO/SAE 21434 aus?

Die Zusammenarbeit von ISO und SAE ist für alle Beteiligten eine neue Erfahrung. Bezüglich der Vorgehensweise gab es hohen Klärungsbedarf, und so hat sich der ursprüngliche Fahrplan etwas verzögert. Momentan ist geplant, Mitte 2019 die erste öffentliche Version bekannt zu geben. Diese können Unternehmen nutzen um sich auf  ISO/SAE 21434 einzustellen. Im Sommer 2020 würde dann die endgültige Version wirksam. Es bleibt also noch genügend Zeit zur Vorbereitung.